Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.02)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W Perlu do wersji 5.43.10 występuje przepełnienie liczby całkowitej w funkcji S_measure_struct, prowadzące do odczytu poza dozwolonym obszarem sterty podczas operacji pack i unpack. Duża liczba powtórzeń w szablonie powoduje zawinięcie sumy na ujemną, co omija zabezpieczenia i pozwala na odczyt pamięci poza buforem.
W Apache Airflow FAB auth manager, DAG o nazwie `DAGs` koliduje z globalną nazwą zasobu uprawnień dla wszystkich DAG-ów. Użytkownik z dostępem per-DAG do tego konkretnego DAG-a otrzymuje niejawnie globalne uprawnienia do wszystkich DAG-ów, co prowadzi do eskalacji uprawnień.
Dostawca Git dla Apache Airflow domyślnie używa opcji StrictHostKeyChecking=no podczas operacji git-over-SSH, co wyłącza weryfikację klucza hosta SSH. Atakujący mogą przechwycić komunikację między workerem Airflow a serwerem Git (man-in-the-middle), podszywając się pod serwer i przechwytując klucz deployacyjny lub wstrzykując złośliwą treść repozytorium.
W programie gawk w wersjach 5.4.0 i niższych wykryto podatność na przepełnienie bufora w pliku "extension/readdir.c" w funkcji ftype(). Może to prowadzić do awarii programu, a potencjalnie także do wykonania kodu, choć to drugie nie zostało potwierdzone.
W programie gawk w wersjach 5.4.0 i niższych wykryto podatność Use After Free w pliku io.c w funkcji do_getline_redir(). Może ona prowadzić do awarii programu.
Podatność w narzędziu incluster-checks dla OpenShift umożliwia eskalację uprawnień. Narzędzie tworzy uprzywilejowane pody debugujące z dostępem do systemu plików hosta w domyślnej przestrzeni nazw, gdzie każdy użytkownik z rolą edytora może uzyskać dostęp root do węzłów klastra.
Wtyczka WordPress "ووسلام – همگام سازی ووکامرس و باسلام" (sync-basalam) w wersji do 1.9.1 zawiera podatność na Cross-Site Request Forgery (CSRF). Atakujący może nakłonić administratora do wykonania niezamierzonych działań w jego kontekście sesji.
Wtyczka WordPress 'گرویتی فرم فارسی' (persian-gravity-forms) zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Podatność dotyczy wersji do 3.0.2 włącznie.
Wtyczka Real Testimonials dla WordPressa (wersje do 3.1.15) zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Atakujący może zdalnie wykorzystać tę lukę do wykonania złośliwego kodu.
Wtyczka ICS Calendar dla WordPressa do wersji 12.1.1 zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez spreparowane żądanie HTTP.
Wtyczka Funnel Builder dla WordPressa zawiera podatność na odbity XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy kod JavaScript do parametrów żądania HTTP, który zostanie wykonany w przeglądarce ofiary.
Wtyczka Forminator dla WordPressa zawiera podatność na path traversal, która pozwala atakującemu na dostęp do plików poza ograniczonym katalogiem. Problem dotyczy wersji do 1.55.0.2 włącznie.
Wtyczka Forminator dla WordPressa zawiera podatność na ataki XSS oparte na DOM. Luka wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji do 1.55.0.1 włącznie.
Wtyczka APIExperts Square for WooCommerce (woosquare) w wersji do 4.7.4 zawiera podatność na ślepe wstrzykiwanie SQL. Brak neutralizacji specjalnych elementów w zapytaniach SQL umożliwia atakującemu wykonanie nieautoryzowanych operacji na bazie danych.
Wtyczka Tonda dla WordPressa zawiera podatność na lokalne dołączanie plików PHP (LFI) poprzez niekontrolowaną nazwę pliku w instrukcji include/require. Problem dotyczy wersji do 2.5 włącznie.
Wtyczka TheGem Theme Elements (dla Elementora) firmy CodexThemes zawiera podatność na lokalne dołączanie plików PHP (PHP Local File Inclusion) z powodu nieprawidłowej kontroli nazwy pliku w instrukcji include/require. Podatność dotyczy wersji przed 5.12.1.1.
Podatność w Struktur Core od Select-Themes pozwala na lokalne dołączanie plików PHP (PHP Local File Inclusion) z powodu nieprawidłowej kontroli nazwy pliku w instrukcji include/require. Dotyczy wersji przed 2.7.
Podatność w motywie Struktur od Select-Themes pozwala na lokalne dołączanie plików PHP (PHP Local File Inclusion) z powodu nieprawidłowej kontroli nazwy pliku w instrukcji include/require. Problem dotyczy wersji przed 2.7.
Wtyczka SetSail dla WordPressa zawiera podatność na lokalne dołączanie plików PHP (LFI) poprzez niekontrolowaną nazwę pliku w instrukcji include/require. Problem dotyczy wersji do 2.1 włącznie.
Wtyczka Overworld dla WordPressa zawiera podatność na lokalne dołączanie plików PHP (LFI) poprzez niekontrolowaną nazwę pliku w instrukcji include/require. Problem dotyczy wersji do 1.5 włącznie.